英国在2025年重写了部分数据保护法律，目前大部分修改已经生效。《数据（使用与访问）法案》并非一部新的GDPR。它修订的是《英国GDPR》、《2018年数据保护法》以及PECR中的cookie规则。对于收集公开网络数据的团队而言，其中有几项修订十分重要，而一些流行的解读又走得太远。
本指南涵盖了哪些内容已经生效，合法依据、研究、告知、cookie、自动化决策和数据传输方面发生了哪些变化，以及该法案没有改变的内容。这是一般性信息，不构成法律建议。
哪些内容生效，何时生效
该法案于2025年6月19日获得御准（Royal Assent），并通过多项生效令分阶段实施。
| 日期 | 生效内容 |
|---|---|
| 2025年6月19日 | 处理访问请求时采用”合理且相称”的检索标准 |
| 2025年8月20日 | 智能数据权力，以及关于版权和AI的报告义务 |
| 2025年12月1日 | 数字身份验证服务框架 |
| 2026年2月5日 | 英国GDPR和PECR的主要变动：合法依据、研究、告知、自动化决策、数据传输、cookie、罚款 |
| 2026年6月19日 | 数据控制者必须建立投诉处理流程 |
| 2026年9月30日 | 信息专员办公室（Information Commissioner’s Office）更名为信息委员会（Information Commission） |
所以当人们谈论”新的英国规则”时，大多指的是从2026年2月5日开始实施的这一整套内容。
合法依据：变化没有你听到的那么大
该法案新增了一项合法依据，即”公认合法利益”（recognised legitimate interests）。如果处理活动是为了实现一份固定清单上的某项目的所必需的，则该处理活动合法，且无需进行权衡测试。该清单涵盖的是公共利益目的：向公共机构披露信息、国家安全与国防、紧急情况、犯罪以及保护弱势群体。普通的商业数据收集不在其列。
对于商业活动而言，大家熟悉的”合法利益”依据没有改变。它仍然只在你的利益”未被数据主体的利益或基本权利与自由所压倒”的情况下适用。该法案确实新增了一些可构成合法利益的处理示例，包括直接营销、集团内部出于内部行政管理目的的共享以及网络安全。这些只是示例，而非通行证：权衡测试依然适用。
就爬取数据而言，监管机构的立场没有变化。在其2024年12月对生成式AI咨询的回应中，该机构表示，对于基于网络爬取个人数据训练生成式AI，合法利益很可能是唯一可用的合法依据，且仅当开发者通过了目的、必要性和平衡这三项测试时才成立。该机构还将爬取视为高风险、在很大程度上不可见的处理活动。我们的指南法务部门在批准爬取项目前会问什么介绍了如何为此做准备。
研究的定义范围更广
该法案在英国GDPR中写入了科学研究的定义。它指的是”任何可以合理地被描述为科学的研究，无论是公共资助还是私人资助，也无论是作为商业活动还是非商业活动进行”，并且包括技术开发和应用研究。
这一点很重要，因为研究目的享有一些有用的豁免，包括下文提到的告知豁免。但测试标准仍然是”可以合理地被描述为科学”，因此并非每个分析项目都符合条件。统计目的的定义也更为严格：结果必须是不属于个人数据的汇总数据，且不得用于对特定个人做出决策。
该法案还允许对某一研究领域给予”概括同意”（broad consent），适用于一开始无法完全确定具体目的的情形。这对有参与者的研究有帮助，但对爬取的数据用处不大，因为那些数据的主体从未被询问过。
告知问题：是否要通知相关人员
爬取的个人数据属于并非从本人处获得的数据，因此英国GDPR第14条适用：原则上，你必须向相关人员提供隐私告知。联系大型数据集中的每一个人往往是不可能的，该法案现在明确说明了何时可以依赖豁免。
| 豁免条款 | 内容 |
|---|---|
| 第14(5)(e)条 | 提供该信息”不可能，或需要付出不相称的努力” |
| 第14(5)(f)条 | 告知将”使处理目的无法实现或严重妨碍其实现” |
| 第14(6)条 | 是否构成不相称的努力取决于”数据主体的数量、个人数据的存续时间以及任何适当的保障措施” |
| 第14(7)条 | 你仍必须采取适当措施，“包括公开发布该信息” |
实际操作的结果是：如果你以”不相称的努力”作为依据，就应发布一份清晰的告知，说明你收集了什么、从哪里收集以及为何收集，以及人们如何提出异议。同时应保留你是如何权衡各项因素的记录。第13条的一项单独修订允许数据控制者在仅为研究、存档或统计目的而重新使用数据时，无需发布新的告知，适用同样的”不可能或不相称的努力”测试。
Cookie与同意弹窗
PECR现在允许网站在未经同意的情况下设置部分cookie：用于统计服务使用情况、记住访客偏好或改善网站外观，以及出于安全和欺诈防范等严格必要目的。对于前两种情形，用户必须获得清晰的信息，并拥有简单、免费的方式提出异议。违反cookie和营销规则的罚款现已达到1750万英镑或全球营业额的4%，以较高者为准。
这首先会影响你自己的网站。随着网站调整其同意横幅，这也可能改变爬虫在英国页面上所看到的内容，因此需要检查任何依赖同意弹窗布局的解析器。我们对各国同意弹窗的研究显示，这些页面已经存在很大差异。
自动化决策与数据传输
如果爬取的数据被用于对个人做出决策，例如线索评分或候选人筛选，关于自动化决策的规则现在的适用方式有所不同。对具有重大影响的纯自动化决策不再被普遍禁止，但你必须告知相关人员存在此类决策，让其有机会表达意见，提供人工干预的途径，并允许其对结果提出异议。使用特殊类别数据的决策仍受到严格限制。
对于向境外传输数据，新的测试标准是目的地的保护水平是否”不显著低于”英国的水平，数据出口方可以通过”合理且相称地行事”来得出这一结论。欧盟于2025年12月19日续签了对英国的充分性认定（adequacy decisions），有效期至2031年12月27日，因此个人数据可以继续从欧盟流向英国。
该法案未改变的内容：AI与版权
该法案中争议最大的部分是被遗漏的内容。英国上议院曾多次提出修正案，要求AI开发者披露其训练所用的版权作品，而下议院每次都将其删除。作为交换，该法案要求政府发布一份关于版权与AI的报告以及一份经济影响评估。
两份文件均于2026年3月18日发布。该报告称，带有权利人选择退出机制的宽泛版权例外”已不再是政府偏好的发展方向”，并未提出替代方案，而是选择先收集更多证据。因此，英国版权法并未发生变化。《版权、外观设计和专利法》第29A条中的文本与数据挖掘例外仍然仅适用于非商业性研究。机器可读的选择退出机制在英国目前尚不具有特殊的法律效力，不过它们仍然传递了意图信号：我们的指南robots.txt与AI保留信号介绍了如何解读这些信号。
数据团队应该做什么
- 检查你的合法依据。 如果你依赖合法利益，请保持评估处于最新状态。不要假设”公认合法利益”清单涵盖了你的情形。
- 检验任何研究主张。 仅在可以合理称为科学的工作中使用研究豁免，并记录理由。
- 发布你的告知。 如果你依赖”不相称的努力”，请制作一份公开告知，说明收集情况和异议方式，并将你的推理过程存档备查。
- 梳理涉及个人的决策。 列出你的数据所支持的任何自动化决策，并补充相应的保障措施。
- 记录数据来源。 保留源URL、日期以及当时生效的告知内容。我们的指南AI训练流程中的数据溯源展示了一种可行的记录格式。
- 关注版权方面的进展。 英国目前没有商业性挖掘例外，政府已表示希望在立法前获取更多证据。
代理服务器的角色
代理服务器改变的是请求的发出地点，而不是法律所允许的内容。无论是从英国IP还是其他任何地方收集英国个人数据，都受同样的英国GDPR义务约束。住宅代理适用于以本地访客的视角查看公开的英国页面，适用于价格监控、广告验证以及检查同意横幅显示方式等工作。它们不会改变你的合法依据、告知义务或任何人的版权。
结论
《数据（使用与访问）法案》放宽了英国的一些规则，但不是大多数网络数据团队所期望放宽的那些规则。商业性收集仍然需要有经过权衡测试的合法利益依据。告知义务更加清晰，发布告知现在已成为其中的一部分。研究的定义更广，但必须是真正具有科学性质的。在AI训练方面，版权问题仍然悬而未决。趁监管机构还在适应新名称的阶段，现在就把你的各项决定记录下来。
来源与参考资料
- 《2025年数据（使用与访问）法案》，正式颁布版本：legislation.gov.uk
- 第67条，研究与统计目的的含义：legislation.gov.uk
- 第77条，应向数据主体提供的信息：legislation.gov.uk
- 附表4，公认合法利益：legislation.gov.uk
- 附表12，在终端设备中存储信息：legislation.gov.uk
- 英国GDPR第6条（修订后）：legislation.gov.uk
- 2025年第1号生效令（SI 2025/904）：legislation.gov.uk
- 2025年第4号生效令（SI 2025/1213）：legislation.gov.uk
- 2026年第6号生效令（SI 2026/82）：legislation.gov.uk
- 2026年第9号生效令（SI 2026/1015）：legislation.gov.uk
- 英国科学、创新与技术部（DSIT），《2025年数据（使用与访问）法案》：生效计划：gov.uk
- 英国信息专员办公室（ICO），《用于训练生成式AI模型的网络爬取的合法依据》：ico.org.uk
- DSIT、DCMS与英国知识产权局（IPO），《关于版权与人工智能的报告及影响评估》（2026年3月18日）：gov.uk
- 欧盟委员会，续签对英国的充分性认定（2025年12月19日）：ec.europa.eu